Comment faire supprimer ses données personnelles d’un site ou d’une application en France : le droit à l’effacement du RGPD, pas à pas

Vous avez créé un compte sur un site il y a des années, vous ne l'utilisez plus, et vos données y sont toujours. Ou vous venez de découvrir qu'une application conserve votre adresse, votre numéro de téléphone et votre historique alors que vous pensiez avoir tout effacé. En France, vous n'êtes pas obligé de subir cela. Le règlement européen sur la protection des données, le RGPD, vous donne un droit à l'effacement, souvent appelé droit à l'oubli. Voici comment l'exercer, pas à pas, et ce qu'il faut faire si l'entreprise refuse.

Le droit à l'effacement ne s'applique pas à toutes les situations, mais il couvre beaucoup de cas. Il concerne les comptes en ligne, les applications mobiles, les newsletters, les boutiques en ligne, les réseaux sociaux et la plupart des services qui collectent vos données.

Vérifier si vous pouvez demander l'effacement

Le RGPD prévoit plusieurs cas dans lesquels un organisme doit effacer vos données. Le plus courant est simple : les données ne sont plus nécessaires au but pour lequel elles ont été collectées. Vous avez fermé votre compte, vous n'utilisez plus le service, l'entreprise n'a plus de raison de conserver vos informations. Vous pouvez aussi demander l'effacement si vous retirez le consentement qui servait de base à la collecte.

Vous pouvez également exercer ce droit si vos données ont été traitées de façon illicite, ou si vous vous opposez au traitement et que l'entreprise n'a pas de motif légitime qui l'emporte sur le vôtre. En revanche, le droit à l'effacement a des limites. Une entreprise peut refuser si elle doit conserver vos données pour respecter une obligation légale, par exemple les factures qu'un commerçant doit garder pendant plusieurs années, ou pour défendre un droit en justice. Un contrat en cours peut aussi justifier la conservation de certaines informations tant qu'il n'est pas terminé.

Trouver le bon interlocuteur

Avant d'écrire, il faut trouver à qui adresser la demande. Sur la plupart des sites, les coordonnées se trouvent dans les mentions légales ou dans la politique de confidentialité, en bas de page. Cherchez le nom du responsable du traitement et, si l'entreprise en a un, les coordonnées de son délégué à la protection des données, souvent appelé DPO.

Si vous ne trouvez rien, envoyez votre demande au service client en précisant qu'il s'agit d'une demande fondée sur le RGPD. Pour les applications mobiles, regardez dans les paramètres de l'application, dans la rubrique confidentialité ou compte, ou sur la fiche de l'application dans la boutique : le développeur y indique souvent une adresse de contact. Notez la date de votre envoi, car c'est elle qui fait courir le délai de réponse.

Rédiger une demande claire et complète

Une bonne demande est courte, précise et facile à traiter. Indiquez votre identité, le compte ou le service concerné, et ce que vous demandez exactement : l'effacement de vos données personnelles. Précisez l'adresse courriel associée au compte et, si besoin, votre nom d'utilisateur, pour que l'entreprise puisse vous retrouver sans ambiguïté.

Écrivez par exemple : « Bonjour, je vous demande l'effacement de mes données personnelles associées au compte créé avec l'adresse courriel suivante, en application de l'article 17 du RGPD. Merci de me confirmer la suppression dans un délai d'un mois. » Joignez une copie d'une pièce d'identité seulement si l'entreprise vous la demande pour vérifier votre identité, et masquez les informations qui ne servent pas à cette vérification. Envoyez la demande par courriel pour garder une preuve. Si le site propose un formulaire de demande d'effacement dans les paramètres du compte, utilisez-le, mais conservez une capture d'écran de votre envoi.

Suivre le délai et relancer si besoin

Une fois la demande envoyée, l'entreprise dispose en principe d'un mois pour vous répondre. Ce délai peut être prolongé de deux mois si la demande est complexe, mais l'entreprise doit vous en informer dans le premier mois. Si vous ne recevez aucune réponse passé ce délai, relancez en rappelant la date de votre première demande.

La réponse peut prendre plusieurs formes. L'entreprise peut confirmer que vos données ont été effacées, ou vous expliquer pourquoi certaines données doivent être conservées, par exemple pour une obligation légale. Elle peut aussi vous demander des informations supplémentaires pour vous identifier. En revanche, elle ne peut pas vous faire payer la demande, ni vous imposer une procédure compliquée pour vous décourager.

Que faire si l'entreprise refuse ou ne répond pas

Si l'entreprise refuse sans motif valable, ou si elle ne répond pas du tout, vous pouvez saisir la CNIL, la Commission nationale de l'informatique et des libertés. La plainte se fait en ligne, sur le site de la CNIL, et elle est gratuite. Décrivez votre demande, joignez les échanges avec l'entreprise et indiquez les dates. La CNIL peut alors intervenir auprès de l'organisme.

Avant de saisir la CNIL, vérifiez un point : l'effacement d'un compte n'efface pas toujours tout. Certaines données peuvent rester dans des sauvegardes pendant un temps limité, le temps que les sauvegardes soient renouvelées. En revanche, vos données ne doivent plus être utilisées, ni revendues, ni transmises à des tiers après votre demande. Si vous recevez encore des courriels commerciaux après la confirmation de suppression, conservez-les : ils prouvent que l'effacement n'a pas été appliqué.

Les bons réflexes avant de demander l'effacement

Avant d'envoyer votre demande, téléchargez d'abord les données que vous voulez garder, comme vos photos, vos factures ou vos conversations, car une fois le compte effacé, la récupération est en général impossible. Vérifiez aussi si le service propose une suppression directe dans les paramètres du compte : beaucoup de sites permettent de supprimer le compte en quelques clics. Dans ce cas, la demande écrite n'est utile que si la suppression ne fonctionne pas.

Pensez enfin à retirer les autorisations accordées à d'autres services, comme une connexion avec Google ou Facebook, et à supprimer l'application de votre téléphone une fois le compte effacé. Faites le tour de vos anciens comptes de temps en temps : un compte oublié est une porte ouverte pour les fuites de données.

Frequently Asked Questions

Le droit à l'effacement s'applique-t-il à tous les sites ?

Il s'applique à la plupart des organismes qui traitent vos données personnelles, en France comme dans toute l'Union européenne, dès lors que les données ne sont plus nécessaires, que vous retirez votre consentement ou que le traitement est illicite. Des exceptions existent, notamment pour respecter une obligation légale.

Combien de temps l'entreprise a-t-elle pour répondre ?

Elle dispose en principe d'un mois à compter de la réception de votre demande, prolongeable de deux mois si la demande est complexe, mais l'entreprise doit vous prévenir dans le premier mois. Passé ce délai sans réponse, vous pouvez relancer, puis saisir la CNIL.

Supprimer mon compte efface-t-il vraiment toutes mes données ?

Dans la plupart des cas, oui, pour les données utilisées par le service. Certaines données peuvent subsister un temps limité dans des sauvegardes, mais elles ne doivent plus être utilisées. L'entreprise doit vous confirmer l'effacement.